Vai trò và quyền hạn trong SSP Enterprise

Câu hỏi quyết định việc lưu ký chia sẻ có thực sự hiệu quả không phải là "ai là người đứng đầu?". Mà là "ai có thể chuyển tiền?" — và trong một hệ thống được dựng tốt, đó là hai câu hỏi khác nhau với hai câu trả lời khác nhau.

SSP Enterprise trả lời chúng ở hai nơi riêng biệt. Quyền hành chính sống trong hồ sơ của tổ chức, nơi nó có thể được cấp và thu hồi như bất kỳ quyền nào khác. Quyền chi tiêu sống trong địa chỉ của kho, nơi điều đó là không thể. Bài này là tấm bản đồ đầy đủ của cả hai, kể cả những tình huống mà người ta hay bất ngờ nhất.

Nếu bạn chưa đọc bức tranh tổng quan về cách tổ chức và kho khớp với nhau, SSP Enterprise: kho multisig cho đội nhóm là bài đứng trước bài này.

Hai hệ thống, một cách có chủ ý

Vai trò tổ chức chi phối không gian làm việc: mời người, tạo kho, đổi thiết lập, đọc dấu vết kiểm toán. Nó là một bản ghi trong cơ sở dữ liệu. Đổi nó và thay đổi có hiệu lực ngay.

Vai trò kho chi phối một kho cụ thể, và một trong ba giá trị của nó — người ký — nghĩa là khóa công khai của bạn là một phần của cách địa chỉ kho ấy được dẫn xuất. Điều đó không thể đổi bằng cách sửa bất cứ gì. Nó chỉ đổi được bằng cách tạo một kho khác ở một địa chỉ khác và chuyển tiền sang.

Hệ quả thực tiễn, và cũng là câu quan trọng nhất trong bài này: một chủ sở hữu tổ chức không phải người ký của một kho thì không thể chi tiêu từ kho ấy. Không bằng quyền vào bảng điều khiển, không bằng quyền vào cơ sở dữ liệu, không bằng sự hợp tác của SSP. Địa chỉ không biết chủ sở hữu là gì.

Vai trò tổ chức, thật chính xác

Bốn vai trò, xếp thứ bậc nghiêm ngặt.

Khả năng	Chủ sở hữu	Quản trị viên	Thành viên	Người xem
Đọc kho, hoạt động, dấu vết kiểm toán	Có	Có	Có	Có
Mời người mới	Có	Có	Chỉ khi tổ chức cho phép	Không
Đổi vai trò của thành viên hoặc người xem	Có	Có	Không	Không
Đổi vai trò của quản trị viên khác	Có	Không	Không	Không
Đổi thiết lập của tổ chức	Có	Có	Không	Không
Chuyển quyền sở hữu, xóa tổ chức	Có	Không	Không	Không
Rời tổ chức	Không — chuyển giao trước	Có	Có	Có

Ba chi tiết trong bảng ấy đáng được tách ra nói riêng.

Quản trị viên không chạm được vào quản trị viên khác. Một quản trị viên có thể nâng, hạ và loại thành viên cùng người xem, nhưng ngay khi đối tượng là một quản trị viên khác thì thao tác bị từ chối. Điều này có chủ ý: nghĩa là một tài khoản quản trị bị xâm phạm không thể lặng lẽ tháo dỡ phần còn lại của lớp hành chính.

Việc thành viên được mời người là một công tắc ở cấp tổ chức. Theo mặc định, mời người là khả năng của quản trị viên. Một tổ chức có thể chọn cho phép thành viên cũng mời — hữu ích với các đội lớn nơi việc tiếp nhận không nên xếp hàng sau hai người, và nên tắt nếu bạn muốn một vành đai chặt.

Chủ sở hữu không thể rời đi. Chỉ có đúng một chủ sở hữu, và cách ra đi là chuyển quyền sở hữu cho người khác trước. Điều này ngăn kiểu hỏng mà một tổ chức rốt cuộc không còn ai thực hiện được các thao tác chỉ dành cho chủ sở hữu.

Vai trò kho, thật chính xác

Ba vai trò, và phạm vi của chúng là một kho duy nhất chứ không phải cả tổ chức.

Quản trị viên kho quản lý kho: chính sách, thiết lập thông báo, những người xem của nó. Quản trị viên kho không nhất thiết là người ký, và một quản trị viên kho không phải người ký thì không thể phê duyệt đề xuất.

Người ký giữ một trong các khóa trong M-trên-N của kho. Người ký soạn đề xuất và phê duyệt chúng. Khóa công khai của họ nằm trong địa chỉ.

Người xem kho thấy số dư, đề xuất và lịch sử mà không thể soạn hay phê duyệt bất cứ gì. Hữu ích cho kiểm toán viên, kế toán, và bất kỳ ai cần thấy mà không cần quyền.

Vì vai trò kho gắn theo từng kho, cùng một người có thể là người ký ở kho vận hành và chỉ là người xem ở kho ngân quỹ. Đó là một bố trí bình thường và lành mạnh: nó trao quyền chi tiêu thường ngày cho những ai cần, trong khi giữ khoản dự trữ phía sau một hội đồng khác, nhỏ hơn.

Lời mời đi tới danh tính, không tới hộp thư

Một lời mời trong SSP Enterprise được gửi tới một danh tính WK — danh tính multisig 2-trên-2 dẫn xuất từ SSP Wallet và SSP Key của một người — chứ không tới một địa chỉ email.

Đây là một thuộc tính bảo mật, không phải sự bất tiện. Một địa chỉ email có thể bị xâm phạm, bị chuyển tiếp, hoặc bị gõ sai rồi rơi vào tay người khác. Một danh tính WK chỉ có thể được xuất trình bởi người giữ cả hai thiết bị của người đó, nghĩa là một lời mời không thể bị chấp nhận bởi bất cứ ai tình cờ đọc được tin nhắn.

Hai hệ quả theo sau. Thứ nhất, người bạn mời cần có SSP đã thiết lập trước khi tham gia; theo thiết kế, không có lối "đăng ký từ email mời". Thứ hai, lời mời có thể kiểm toán theo cách mà lời mời qua email không thể, bởi việc chấp nhận là một hành vi được ký.

Lời mời đã hết hạn không bị xóa. Chúng được giữ vô hạn, bởi "ai đã được mời mà chưa từng tham gia" đúng là loại câu hỏi mà một cuộc kiểm toán đặt ra nhiều tháng sau. Không gì trong dấu vết kiểm toán có thời hạn sống.

Điều gì cần ký lại

Một số thao tác quá nặng hệ quả để cấp phép bằng một cookie phiên. Mười ba trong số đó yêu cầu bạn ký lại bằng cả hai thiết bị ngay tại thời điểm hành động, trong đó có:

• Chuyển quyền sở hữu một tổ chức
• Xóa một tổ chức
• Loại một thành viên
• Đổi email doanh nghiệp trên một tài khoản

Cơ chế ở đây rất quan trọng. Máy chủ tạo ra thử thách cần ký — không bao giờ là máy khách — và thử thách ấy gắn với hành động cụ thể, đối tượng cụ thể và một dấu thời gian. Một chữ ký thu được từ thao tác này không thể phát lại vào thao tác khác.

Mọi lần thử đều được ghi log vĩnh viễn, kể cả những lần thất bại. Một chuỗi các lần thử thao tác nghiêm trọng thất bại tự nó đã là dấu hiệu đáng có trong hồ sơ.

Thay đổi vai trò được ghi ở đâu

Mọi thay đổi quyền đều được ghi vào dấu vết kiểm toán của tổ chức: vai trò được cấp và thu hồi, lời mời được phát ra, được nhận, bị từ chối và bị hủy, thành viên vào và rời, việc loại người, và các lần chuyển quyền sở hữu. Thay đổi ở cấp kho có sự kiện riêng — người ký và người xem được thêm hay bớt, chính sách được sửa, trạng thái kho thay đổi.

Bản ghi kiểm toán là vĩnh viễn. Không hết hạn, không có tác vụ dọn dẹp, bởi giá trị của một dấu vết kiểm toán nằm hoàn toàn ở những phần mà chẳng ai lường trước là sẽ cần. Một tổ chức phát hiện vấn đề vào tháng Mười Một sẽ muốn bản ghi từ tháng Ba.

Thiết kế bố trí vai trò của bạn

Vài khuôn mẫu đứng vững trong thực tế.

Tách quản trị viên khỏi những người ký. Hãy để một trưởng bộ phận vận hành giữ quyền quản trị tổ chức để quản lý người và thiết lập kho, mà không đặt khóa của họ vào địa chỉ ngân quỹ. Khi ấy sự tiện lợi hành chính không kéo theo rủi ro lưu ký.

Hãy hào phóng trao vai trò người xem cho bộ phận tài chính. Quyền đọc thì rẻ và giúp việc đối chiếu khả thi mà không mở rộng nhóm người có thể chi tiêu. Không có lý do gì để một kế toán phải là người ký.

Giữ hội đồng ngân quỹ nhỏ hơn hội đồng vận hành. Một khoản dự trữ 3-trên-5 và một kho vận hành 2-trên-3 là cách chia phổ biến và hợp lý: khoản tiền bạn chạm tới hằng ngày có ngưỡng phê duyệt thấp hơn khoản bạn chạm tới hằng năm. 2-trên-2 so với 2-trên-3 và m-trên-n bàn về cách lập luận với các con số.

Quyết định quy trình rời đi trước khi có ai rời đi. Loại một người khỏi tổ chức là thay đổi vai trò; loại họ khỏi vai trò người ký là một kho mới và một cuộc di chuyển tiền. Hãy viết ra bạn sẽ làm điều nào, và xác nhận rằng tập người ký còn lại vẫn vượt ngưỡng. Chuyện gì xảy ra nếu một khóa của bạn bị xâm phạm đi qua kịch bản liền kề.

Đừng coi chính sách là quyền hạn. Danh sách được phép, khóa thời gian và quy tắc phê duyệt định hình cái gì được đề xuất, nhưng ngưỡng là thứ duy nhất mà chuỗi cưỡng chế. Hãy thiết kế vai trò như thể cỗ máy chính sách không tồn tại, rồi thêm chính sách như những cải tiến quy trình đặt lên trên.

Thứ bậc vai trò rất dễ làm đúng nếu bạn giữ một câu hỏi ở tuyến đầu: thay đổi nào trong số này cần một địa chỉ mới, và thay đổi nào chỉ là bản ghi? Mọi thứ ở lớp tổ chức là bản ghi. Chỉ tập người ký mới là một địa chỉ.